Un segnale di sicurezza è un punto dati o un evento che può indicare un cambiamento significativo nell'esposizione, nel comportamento o nello stato dei controlli di sicurezza. Non è sempre la prova di un incidente; piuttosto, è un indizio che qualcosa nell'ambiente potrebbe meritare un esame più approfondito. I segnali possono provenire da log, avvisi, modifiche di configurazione, comportamento degli utenti, threat intelligence o controlli di conformità.
I team di sicurezza si affidano ai segnali per distinguere il rumore di routine dal rischio reale. Un aumento dei tentativi di accesso falliti, un nuovo account amministratore, una connessione in uscita insolita o una patch mancante possono tutti essere segnali che supportano un'indagine. Gli aggressori possono generare segnali tramite ricognizione, abuso delle credenziali o attività di malware, mentre i difensori creano segnali attraverso il monitoraggio, le regole di rilevamento e il testing dei controlli. La chiave è la correlazione: un singolo segnale debole può essere innocuo, ma diversi segnali allineati possono rivelare una minaccia attiva o un controllo in indebolimento.